En 2018, les États membres de l’Union européenne appliqueront un règlement sur les données personnelles des utilisateurs. Il fait l’objet de débat car certains ne sont pas d’accord avec les mesures de l’UE pour protéger les internautes. La CNIL (Commission Nationale Informatique et Libertés) a fait un dossier très complet qui décrypte les différents enjeux de ce règlement. Cela permettra aussi de comprendre pourquoi on conteste la restriction de l’utilisation des données des utilisateurs.
Un cadre juridique contraignant
La CNIL a publié le règlement sur son site internet. Il est disponible ici. Quelle est la différence entre une directive européenne et un règlement ? Une directive est un texte qui est émit par la Commission européenne. Elle fixe différente politique relevant des compétences de l’Union européenne. Ensuite, elle est traduite dans le droit national des pays membres de l’UE. Elle permet donc un débat au Parlement du pays membre. Ce n’est pas le cas du règlement. Le texte est légalisé par l’article 288 du TFUE (traité sur le fonctionnement de l’Union européenne ou traité de Lisbonne).
La responsabilité contractuelle de l’Union est régie par la loi applicable au contrat en cause.
En matière de responsabilité non contractuelle, l’Union doit réparer, conformément aux principes généraux communs aux droits des États membres, les dommages causés par ses institutions ou par ses agents dans l’exercice de leurs fonctions.
Par dérogation au deuxième alinéa, la Banque centrale européenne doit réparer, conformément aux principes généraux communs aux droits des États membres, les dommages causés par elle-même ou par ses agents dans l’exercice de leurs fonctions.
La responsabilité personnelle des agents envers l’Union est réglée dans les dispositions fixant leur statut ou le régime qui leur est applicable.(Article 288, TFUE). Source: https://www.traite-de-lisbonne.fr/Traite_de_Lisbonne.php?Traite=1
Le règlement est l’équivalent d’une loi nationale pour le compte de l’Union européenne. Adopté par le Parlement européen, il est publié au Journal Officiel de l’UE et applicable directement au niveau national. Le règlement sur la protection des données personnelles a été adopté le 14 avril 2016 par le Parlement européen. Il entrera en application le 24 mai 2018. Le règlement pose des questions politiques car s’il n’est pas rejeté par le Parlement, aucun pays membre ne peut le rejeter. Certains s’opposent à cette politique uniquement pour faire préserver le droit national sur le droit européen. D’autres sont en désaccord avec les mesures mêmes car elles ne servent pas leurs intérêts.
Les différentes mesures pour la protection des données
On peut évoquer trois types de mesures pour protéger les données personnelles des internautes.
- Une concertation obligatoire: les sites internet qui utilisent les cookies ont pour obligation de demander aux internautes leur accord pour utiliser leurs données personnelles. Les cookies sont des fichiers textes envoyé à un internaute pour lui faire donner envie de consulter un site en fonction de son comportement sur Internet. Il stocke une information sur l’utilisateur qui envoie ses données personnelles pour se connecter à un site. Certaines plateformes comme Facebook ou Twitter sont souvent accusées de vendre les données d’utilisateurs pour faire du profit. Non seulement elles sont utilisées à des fins commerciales mais l’utilisateur n’était pas du tout informé de son utilisation. Désormais, il sera obligatoire aux sites de demander l’accord de l’internaute pour utiliser ces cookies.
- Une responsabilité des entreprises: cette partie a été un peu médiatisée car elle concernait le fonctionnement de certains sites de presse qui fonctionnait avec les cookies. 33 éditeurs de presse ont publié une tribune qui avait dénoncé cette gestion des cookies. Cette demande d’autorisation a pour but d’empêcher les éditeurs de proposer des publicités qui correspondent au comportement des utilisateurs. Au-delà de ça, on voit bien que les entreprises qui marchandent les publicité voient leur monopole remis en cause. On a aussi le transfert hors de l’UE. Les entreprises peuvent le faire à condition de les protéger d’un niveau suffisant. Elles restent aussi soumises au droit de l’UE.
- Un renforcement de la reconnaissance des organismes nationaux: la CNIL avait remercié le Parlement d’avoir reconnu le rôle des organismes nationaux. Les autorités de protection se sont préparées à cette mission depuis l’année dernière au G29. L’UE favorise un renforcement de la coopération des organismes de protection en Europe. Elles pourront adopter des positions communes sur les transferts hors UE. Elles ont aussi le droit de prononcer des sanctions contre les acteurs qui ne respecteraient pas le règlement. Ces dernières vont de l’avertissement à l’ordre d’effacer les données en passant par la mise en demeure de l’entreprise, la limitation temporaire d’un traitement ou encore la suspension de flux de données. Tout est fait pour contraindre les plus réticents à respecter le cadre juridique européen.
On peut regretter le manque de médiatisation de ce texte. Il aurait permis un débat profond sur ce sujet. Alors que Facebook et Twitter sont accusés d’utiliser les données des utilisateurs à des fins commerciales, le débat aurait pu clarifier les positions des uns et des autres tant sur le fond que sur la forme du texte. La seule publication dont le règlement a été l’objet était surtout en faveur de la presse qui entendait bien défendre ses intérêts. C’est dommage car ce genre de sujet doit se passer des polémiques inutiles surtout qu’il mélange des domaines complexes comme la technique et le droit. C’est cette interaction entre le numérique et la législation qui est intéressante à analyser. On ne peut se contenter de positions partielles et partiales. Elles empêchent les échanges de fond entre les acteurs. En tout cas, le règlement européen a un mérite qui est de faire tomber les masques des acteurs qui utilisent les données personnelles des internautes. L’ambiguïté et la langue de bois sont, de fait, exclues des débats.